CVE-2026-79667 in Ech0
Résumé
par VulDB • 25/08/2026
Ech0 versions 4.3.4 et antérieures ne parviennent pas à appliquer de manière fiable les restrictions d'accès basé sur le jeton avec portée (principe du moindre privilège) sur plusieurs routes administratives privilégiées. Plusieurs points de terminaison privilégiés (par exemple, /api/inbox, /api/panel/comments, /api/backup/export) omettent les vérifications de portée et autorisent l'accès uniquement en fonction du rôle d'administrateur de l'utilisateur, tandis que le gestionnaire d'exportation des sauvegardes ignore complètement les métadonnées de la portée du jeton. Un attaquant disposant d'un jeton d'accès administrateur délibérément limité (à faible portée) peut accéder à des fonctionnalités privilégiées plus étendues que prévu, y compris la lecture de la boîte de réception et l'exportation d'une archive ZIP complète de la sauvegarde de la base de données. Correction apportée dans la version 4.4.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.